Politique de confidentialité de Firewall AI

Cette politique concerne l'extension de navigateur Firewall AI pour Safari, Chrome et Firefox, ainsi que l'application conteneur macOS nécessaire à la version Safari. Version de la politique : 2.1. Dernière mise à jour : 20 octobre 2026.

1. Qui sommes-nous

Firewall AI est édité par La Forge Normandie, SAS (« La Forge », « nous »).

• Adresse : Campus, 18 place Saint-Marc, 76000 Rouen, France
• Immatriculation : SIREN 939 410 213, RCS Rouen
• Contact pour les données personnelles : firewall-ai@la-forge.ai
• Délégué à la protection des données : thomas@la-forge.ai

2. Qui est responsable de vos données

Firewall AI est déployé par des organisations pour leurs collaborateurs. L'administrateur de votre organisation crée votre compte et vous remet le jeton de provisionnement.

Votre organisation est responsable du traitement au sens du RGPD. Elle décide d'utiliser Firewall AI, des règles appliquées, des comptes créés et du niveau d'identification des rapports. Elle doit vous informer de ce dispositif avant sa mise en place, notamment par sa propre notice d'information. Cette politique la complète sans la remplacer.

La Forge agit en tant que sous-traitant (article 28 du RGPD) pour le service de détection en mode SaaS. Elle traite vos données uniquement sur instruction documentée de votre organisation et l'assiste pour répondre à vos demandes et pour réaliser son analyse d'impact.

La Forge est responsable du traitement pour deux traitements qui servent ses propres besoins : les retours (feedback) sur le produit et la télémétrie des déploiements sur site. Ces traitements sont détaillés aux sections 5 et 7.

3. Modes de déploiement

• SaaS : le serveur est exploité par La Forge et hébergé en France par OVHcloud. L'analyse sémantique s'appuie sur les API génératives de Scaleway, qui reçoivent le texte complet analysé, en région Paris.
• Sur site (on-premise) : le serveur appartient à votre organisation et l'analyse utilise un modèle local. La Forge fournit le logiciel et sa licence, sans accès aux données. Aucune donnée n'est envoyée à La Forge, sauf une télémétrie hebdomadaire agrégée, désactivée par défaut, que votre organisation peut activer.

La télémétrie contient la période, le nombre total d'utilisateurs et d'utilisateurs actifs, le nombre d'événements par niveau de gravité et le nombre de retours. Elle ne contient aucun texte de message. Les commentaires libres n'y figurent qu'avec un consentement distinct, que vous pouvez retirer à tout moment.

En mode sur site, les sections 8 et 9 ne s'appliquent pas : les destinataires et l'hébergement sont choisis par votre organisation.

4. Ce que fait l'extension, et quand

L'extension n'agit que sur les services d'IA protégés : six plateformes publiques (ChatGPT, Claude, Gemini, Grok, Microsoft Copilot, Perplexity) et les domaines ajoutés par votre organisation. Sur tout autre site, aucun code n'est chargé et aucune page n'est lue.

• Avant toute analyse, l'extension vous présente ce qui est transmis et à qui, y compris, en SaaS, le recours à l'IA générative de Scaleway. Tant que vous n'avez pas accepté, rien n'est envoyé au serveur : seule une détection locale, dans votre navigateur, retient les messages sensibles. Vous pouvez retirer votre accord à tout moment depuis l'extension (« Retirer mon accord »), avec le même effet. Si votre organisation installe l'extension par stratégie de groupe (Chrome, Firefox), ce déploiement vaut décision de sa part et l'écran n'est pas présenté.
• À chaque envoi de message, lorsque vous êtes connecté et avez accepté, le texte complet est transmis au serveur pour analyse, qu'une donnée sensible soit détectée ou non. Le nom de domaine du service d'IA est transmis avec lui, jamais l'adresse complète de la page.
• À la sélection d'un fichier joint (txt, csv, pdf ou xlsx, jusqu'à 20 Mo), son contenu complet, son nom et son type sont transmis au serveur selon la même règle.
• Si le serveur est injoignable, ou si vous n'êtes pas connecté, rien n'est envoyé.
• Pour tenir à jour la liste des domaines surveillés, l'extension est informée qu'un onglet est en cours de chargement. Elle ne lit pas l'adresse de cet onglet.
• L'application conteneur macOS sert uniquement à installer l'extension dans Safari et ne collecte aucune donnée.

Les messages et fichiers que vous soumettez peuvent contenir des données sur d'autres personnes (clients, collègues) ou des données sensibles (santé, opinions, etc.). Ces contenus sont analysés de la même façon, puis détruits : ils ne sont ni conservés ni exploités à d'autres fins.

ChatGPT, Claude, Gemini, Grok, Copilot et Perplexity sont des marques de leurs propriétaires respectifs. Firewall AI n'est ni affilié à ces sociétés ni approuvé par elles.

5. Données traitées et durées de conservation

Le texte de vos messages et le contenu de vos fichiers ne sont jamais conservés. Le serveur garde en revanche les éléments ci-dessous, supprimés automatiquement à l'échéance indiquée.

|

L'empreinte de l'extrait est une donnée pseudonymisée, pas anonyme : pour des données courtes et structurées comme un IBAN, elle peut permettre de retrouver la valeur d'origine. Elle est donc protégée comme une donnée personnelle. Un nom de fichier peut aussi révéler des informations personnelles.

L'extension ne conserve sur votre appareil ni vos messages, ni vos fichiers, ni l'historique des détections, ni votre navigation.

6. Ce que voit votre employeur

Lorsqu'une donnée sensible est détectée, un événement est enregistré : date, site, type de donnée, gravité et empreinte de l'extrait, jamais le texte lui-même. Les administrateurs de votre organisation peuvent consulter ces événements et des rapports d'usage. Selon le réglage choisi par votre organisation, ils sont :

• anonymes : aucun lien avec une personne ou un groupe ;
• rattachés à votre groupe : l'administrateur voit le groupe, pas la personne ;
• rattachés à votre identité : l'administrateur voit qui a déclenché l'événement.

Renseignez-vous auprès de votre employeur sur le réglage appliqué. Votre employeur doit vous en informer avant la mise en service de l'outil (article L1222-4 du Code du travail).

7. Finalités et bases légales

Vos données ne sont utilisées ni à des fins publicitaires, ni pour du profilage commercial, ni pour une décision automatisée produisant des effets juridiques à votre égard, ni pour entraîner un modèle d'intelligence artificielle.

8. Destinataires et sous-traitants

Aucune donnée n'est vendue ni cédée. Aucune donnée n'est utilisée pour la publicité ou le suivi. L'extension n'utilise ni cookie, ni pixel de suivi, ni outil de mesure d'audience.

9. Transferts hors de l'Union européenne

Les données traitées par le serveur et par le modèle d'analyse sont hébergées en France (OVHcloud, Scaleway). Les e-mails d'invitation sont envoyés via Google Workspace (Google Ireland Limited). Google peut traiter votre adresse e-mail aux États-Unis, dans le cadre du Data Privacy Framework UE–États-Unis et des clauses contractuelles types de la Commission européenne. Aucun autre transfert hors de l'Union européenne n'a lieu.

10. Communication aux autorités

La Forge traite vos données uniquement sur instruction documentée de votre organisation. Si une autorité judiciaire ou administrative impose légalement la communication de données, La Forge en informe votre organisation, sauf interdiction légale. La Forge ne communique que les données strictement visées par la demande.

11. Sécurité

• Tous les échanges sont chiffrés en transit (HTTPS/TLS).
• L'extension ne contacte que le serveur désigné par le jeton de provisionnement, dont l'authenticité est vérifiée par une signature Ed25519 avant tout appel réseau.
• Les jetons d'accès durent 15 minutes. Les jetons de rafraîchissement durent 7 jours, sont révocables et sont stockés côté serveur sous forme d'empreinte.
• Le texte analysé n'est écrit ni en base, ni dans un fichier, ni dans un journal applicatif.
• L'extension ne charge aucun code à distance : tout son code est dans le paquet publié et relu par chaque magasin d'extensions.

Firewall AI ne fait pas, à ce jour, l'objet d'une certification de sécurité (ISO 27001, SecNumCloud ou équivalent).

12. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement et de limitation du traitement. Vous pouvez vous opposer au traitement pour des raisons tenant à votre situation particulière, lorsqu'il repose sur l'intérêt légitime. Le droit à la portabilité s'applique aux traitements fondés sur votre consentement ou sur un contrat. Lorsque vous avez donné votre consentement, vous pouvez le retirer à tout moment.

1. Adressez votre demande d'abord à votre organisation, responsable du traitement. La Forge l'assiste pour y répondre.
2. Vous pouvez aussi écrire à firewall-ai@la-forge.ai, notamment pour les retours et la télémétrie, dont La Forge est responsable. Nous transmettons à votre organisation les demandes qui la concernent.

Une réponse vous est apportée dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes. Une preuve d'identité peut vous être demandée en cas de doute raisonnable. Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).

13. Permissions du navigateur

N'autorisez l'extension que sur les sites strictement nécessaires : les services d'IA utilisés dans votre organisation. C'est la configuration que nous recommandons sur Safari, Chrome et Firefox.

À l'installation, votre navigateur peut indiquer que l'extension demande l'accès à tous les sites. Cette demande technique lui permet de fonctionner sur les services d'IA ajoutés par votre organisation après sa publication. Elle ne s'exécute de toute façon que sur la liste de domaines fournie par le serveur.

Pour limiter l'accès :

• Safari : Réglages, Extensions, Firewall AI, puis choisissez les sites autorisés.
• Chrome : menu Extensions, Gérer les extensions, Détails de Firewall AI, Accès au site, « Sur des sites spécifiques ».
• Firefox : Addons, Firewall AI, onglet Permissions et donnée.

Si votre organisation ajoute un nouveau service d'IA, vous devrez l'autoriser pour que la protection s'y applique. Sur un site non autorisé, l'extension ne protège plus vos envois.

Pour désinstaller, retirez l'extension depuis ces mêmes réglages. Sur Safari, supprimez ensuite l'application Firewall AI du dossier Applications. Les éléments techniques stockés dans votre navigateur sont alors effacés.

14. Déclarations aux magasins d'extensions

Chrome Web Store. L'utilisation des données par l'extension respecte la politique relative aux données utilisateur du Chrome Web Store, y compris ses exigences d'utilisation limitée. Les données servent exclusivement à la détection décrite ici. Elles ne sont ni vendues, ni transférées à d'autres tiers que ceux de la section 8, ni utilisées pour la publicité, l'évaluation de solvabilité ou le crédit. Personne chez La Forge ne lit le texte de vos messages. Les administrateurs de votre organisation consultent les événements (section 6), et La Forge lit les retours que vous choisissez de lui envoyer.

Firefox Add-ons. L'extension déclare transmettre des communications personnelles (texte des messages et fichiers, analysés puis détruits), des informations d'authentification (jeton de session) et une activité de navigation limitée au nom de domaine du service d'IA.

Apple App Store. Les données sont transmises au serveur désigné par votre organisation, uniquement après votre accord explicite donné dans l'extension (section 4). Elles ne servent pas au suivi publicitaire et ne sont pas rapprochées de données issues d'autres applications ou sites.

15. Modifications de cette politique

Nous pouvons mettre à jour cette politique. Toute modification est publiée sur cette page avec sa date. En cas de changement substantiel (nouvelle catégorie de données, nouveau destinataire, nouvelle finalité), nous en informons les organisations clientes avant son entrée en vigueur.